[비박스(bWAPP)] - 관리자 페이지 인증 우회

관리자 페이지는 종종 admin, admin.php, admin.jsp 등과 같은 URL로 되어 있어 쉽게 추측할 수 있다.

DirBuster와 같은 자동화 툴을 이용하여 이러한 URL을 쉽게 찾을 수 있다.

 

[그림 1] dirbuster 사용

그림 1은 dirbuster을 사용하여 URL을 알아냈다.

 

[그림 2] gobuster 사용

사용 명령어

gobuster dir -u http://192.168.60.136/bWAPP -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -t 100

gobuster을 사용하여 디렉토리 스캔을 진행하였다.

/admin이라는 디렉토리가 발견이 되었고 이 디렉토리가 관리자의 URL이라고 생각을 하고 접속을 진행하였다.

 

[그림 3] 관리자 페이지

단순히 URL을 추측하여 입력함으로써 관리자 페이지에 접근하고 몇 가지 정보를 알아 낼 수 있다.